Beschreibung:

In einigen Szenarien ist es erforderlich bestimmten Datenverkehr (etwa Echtzeit-Datenverkehr) priorisiert zu übertragen und eine Bandbreite zu garantieren. Dies kann auf einer Unified Firewall mittels der Funktion Traffic-Shaping realisiert werden.

In diesem Artikel wird beschrieben, wie Traffic-Shaping auf einer LANCOM R&S®Unified Firewall konfiguriert wird.

Traffic-Shaping kann nur für die Kommunikation vom LAN zum WAN und umgekehrt verwendet werden, nicht aber für die Kommunikation zwischen verschiedenen lokalen Netzwerken.


Voraussetzungen:


Szenario:

In diesem Beispiel-Szenario soll VoIP-Datenverkehr priorisiert behandelt werden.



Vorgehensweise:

Die Pakete müssen einer Traffic-Gruppe zugeordnet werden, damit diese durch das Traffic-Shaping-Modul verarbeitet werden können. Dabei gibt es zwei Varianten, wie Datenverkehr einer Traffic-Gruppe zugewiesen werden kann:

  1. Durch Auswahl der Traffic Gruppe in einer Desktop-Verbindung, einer IPSec-Verbindung oder einem Application-Routing-Profil. 
  2. Durch Auswahl eines DSCP-Wertes in dem Feld DSCP eingehend in der Traffic-Gruppe. Dadurch wird sämtlicher Datenverkehr mit dem passenden DSCP-Wert, welcher über die Unified Firewall übertragen wird, der Traffic-Gruppe zugeordnet.


Das Traffic-Shaping greift, sobald in einer Desktop-Verbindung, einer IPSec-Verbindung oder einem Application-Routing-Profil die folgenden Parameter hinterlegt sind:

  1. Weder die Traffic-Gruppe, noch ein DSCP-Wert bei DSCP ausgehend ist ausgewählt.
    → Es wird kein Traffic-Shaping vorgenommen.
  2. Die Traffic-Gruppe ist ausgewählt aber kein DSCP-Wert bei DSCP ausgehend.
    → Der Datenverkehr wird der Traffic-Gruppe zugeordnet und gemäß der Shaping-Konfiguration priorisiert oder limitiert.
  3. Es ist keine Traffic-Gruppe ausgewählt aber ein DSCP-Wert bei DSCP ausgehend hinterlegt.
    → Die Unified Firewall setzt bei allen ausgehenden Paketen den DSCP-Wert (kann durch nachgelagerte Geräte erkannt und entsprechend priorisiert werden).
  4. Sowohl die Traffic-Gruppe ist ausgewählt, als auch ein DSCP-Wert bei DSCP ausgehend hinterlegt.
    → Der Datenverkehr wird der Traffic-Gruppe zugeordnet und gemäß der Shaping-Konfiguration priorisiert oder limitiert und die Unified Firewall setzt bei allen ausgehenden Paketen den DSCP-Wert (kann durch nachgelagerte Geräte erkannt und entsprechend priorisiert werden).


1. Erstellen einer Traffic-Gruppe (erforderlich):

1.1 Verbinden Sie sich mit dem Webinterface der Unified Firewall, wechseln in das Menü Netzwerk → Traffic-Shaping → Traffic-Gruppen und klicken auf das "Plus-Zeichen", um eine neue Traffic-Gruppe zu erstellen.

1.2 Passen Sie die folgenden Parameter an, um eine Gruppe für VoIP-Datenverkehr anzulegen und klicken auf Erstellen:

Die Angabe eines DSCP-Wertes im Feld DSCP eingehend ist optional. Wird kein DSCP-Wert hinterlegt, kann Datenverkehr nur dann einer Traffic-Gruppe zugewiesen werden, indem diese in einer Desktop-Verbindung, einer IPSec-Verbindung oder einem Application-Routing-Profil ausgewählt wird.



2. Erstellen einer Shaping-Konfiguration (optional):

2.1 Wechseln Sie in das Menü Netzwerk → Traffic-Shaping → Shaping-Konfigurationen.

2.2 Passen Sie die folgenden Parameter an:

Pro Interface kann nur eine Shaping-Konfiguration erstellt werden.

2.3 Passen Sie für den eingehenden Datenverkehr die folgenden Parameter bei Eingehende Regeln an und klicken auf das "Plus-Zeichen", um diese zu übernehmen:


Wird ein eingehendes Paket mit dem in der Traffic-Gruppe vergebenen DSCP-Wert erkannt, findet die Regel Anwendung und garantiert oder beschränkt die Bandbreite für dieses Paket.

Die Summe der garantierten Bandbreiten aller Regeln einer Übertragungsrichtung darf die maximale Interface-Bandbreite für diese Übertragungsrichtung nicht überschreiten.

2.4 Passen Sie für den ausgehenden Datenverkehr die folgenden Parameter bei Ausgehende Regeln an und klicken auf das "Plus-Zeichen", um diese zu übernehmen:


Wird über eine Firewall-Regel (Schritt 3), eine IPSec-Verbindung (Schritt 4) oder das Application-Management (Schritt 5) einem ausgehenden Paket ein bestimmter DSCP-Wert zugewiesen, welcher dem in der Traffic-Gruppe vergebenen DSCP-Wert entspricht, findet die Regel Anwendung und garantiert oder beschränkt die Bandbreite für dieses Paket. 

Die Summe der garantierten Bandbreiten aller Regeln einer Übertragungsrichtung darf die maximale Interface-Bandbreite für diese Übertragungsrichtung nicht überschreiten.

2.5 Klicken Sie abschließend auf Erstellen.



3. Verwendung des Shaping-Konfiguration:

Damit die in Schritt 2. erstellte Shaping-Konfiguration Anwendung findet, muss die dort hinterlegte Traffic-Gruppe in einer Desktop-Verbindung, einer IPSec-Verbindung oder in einem Application-Routing-Profil referenziert werden (oder auch in mehreren dieser Möglichkeiten).


3.1 Verwendung der Shaping-Konfiguration in einer Desktop-Verbindung:

Klicken Sie auf dem Desktop auf das Netzwerk-Objekt, wählen das Verbindungs-Werkzeug aus und klicken auf das Internet-Objekt, um die Desktop-Verbindung zu öffnen.


3.1.1 Verwendung der Shaping-Konfiguration für die gesamte Desktop-Verbindung:

Wechseln Sie in den Reiter Traffic-Shaping, wählen im Dropdown-Menü bei Traffic-Gruppe die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP) und auf Speichern.


3.1.2 Verwendung der Shaping-Konfiguration für einzelne Protokolle einer Desktop-Verbindung:

3.1.2.1 Klicken Sie bei dem gewünschten Protokoll (in diesem Beispiel der benutzerdefinierte Dienst SIP) unter Optionen auf NAT, um in die erweiterten Einstellungen zu gelangen.

3.1.2.2 Wechseln Sie in den Reiter Traffic-Shaping, wählen die Option Servicespezifische Einstellungen verwenden aus und wählen im Dropdown-Menü bei Traffic-Gruppe die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP).

Klicken Sie anschließend auf OK.

3.1.2.3 Klicken Sie abschließend auf Speichern.


3.1.3 Aktivieren der Konfigurations-Änderungen:

Klicken Sie auf Aktivieren, damit die vorgenommenen Änderungen übernommen werden.



3.2 Verwendung der Shaping-Konfiguration in einer IPSec-Verbindung:

Traffic-Shaping steht nicht für VPN-SSL Verbindungen zur Verfügung.

3.2.1 Wechseln Sie in das Menü VPN → IPSec → Verbindungen und klicken bei der gewünschten Verbindung auf das Bleistift-Symbol, um die Verbindung zu editieren.

3.2.2 Wechseln Sie in den Reiter Traffic-Shaping, wählen im Dropdown-Menü die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP) und klicken auf Speichern.


3.3 Verwendung der Shaping-Konfiguration in einem Application-Routing-Profil:

3.3.1 Wechseln Sie in das Menü UTM → Application-Management → Routing-Profile und klicken auf das gewünschte Routing-Profil, um diese zu editieren.

3.3.2 Wählen Sie im Dropdown-Menü die in Schritt 1. erstellte Traffic-Gruppe aus (in diesem Beispiel VoIP) und klicken auf Speichern.



4. Zuweisen eines DSCP-Flags für ausgehenden Datenverkehr (optional):
















Optional kann über das Traffic-Shaping ausgehenden Paketen für den Datenverkehr aller in der Desktop-Verbindung enthaltenen Protokolle oder Dienste ein bestimmter DSCP-Wert zugewiesen werden (der vorhandene DSCP-Wert wird dabei überschrieben). Dies ist allerdings nur sinnvoll, wenn es sich um ähnlich gearteten Datenverkehr handelt und dieser von der Zuweisung des DSCP-Flags profitiert (etwa bei Firewall-Regeln einer dedizierten Internet-Verbindung für VoIP-Datenverkehr).

3.1.1 Wechseln Sie in den Reiter Traffic-Shaping, passen die folgenden Parameter an und klicken auf Speichern:


3.2 Traffic-Shaping für einzelne Protokolle:

Optional kann über das Traffic-Shaping ausgehenden Paketen für den Datenverkehr eines bestimmten Protokolls oder Dienstes ein bestimmter DSCP-Wert zugewiesen werden (der vorhandene DSCP-Wert wird dabei überschrieben). Die restlichen Protokolle bleiben unberührt und verwenden den bereits vorhandenen DSCP-Wert.

3.2.1 Klicken Sie bei dem gewünschten Protokoll (in diesem Beispiel der benutzerdefinierte Dienst SIP) unter Optionen auf NAT, um in die erweiterten Einstellungen zu gelangen.







4. Traffic-Shaping für einen IPSec-Tunnel (optional):

Optional kann über das Traffic-Shaping ausgehenden Paketen für den Datenverkehr des IPSec-Tunnels ein bestimmter DSCP-Wert zugewiesen werden (der vorhandene DSCP-Wert wird dabei überschrieben). Dadurch wird allerdings nur der IPSec-Tunnel als Ganzes beeinflusst, nicht aber der Datenverkehr einzelner Protokolle innerhalb des IPSec-Tunnels. Dies ist allerdings nur sinnvoll, wenn innerhalb des IPSec-Tunnels ähnlich gearteter Datenverkehr übertragen wird und dieser von der Zuweisung des DSCP-Flags profitiert.





5. Traffic-Shaping unter Verwendung von Application-Management (optional):

Optional kann über das Traffic-Shaping ausgehenden Paketen unter Verwendung des Application-Managements ein bestimmter DSCP-Wert zugewiesen werden.